电子数据取证笔试试卷(2)-1
电子数据取证笔试试卷(2)-1汇编
电子数据取证试题说明：考试时间100分钟，满分100分，答案写在答题纸上。
一、单选题（共10题，每题2分，共计20分）1.硬盘作为最常见的计算机存储介质，近几年从容量到性能都有了很大的提高，以下哪种硬盘的理论传输速率最慢？A.SCSIB.IDEC.SASD.SATA2.以下哪种规格是市场上最常见的笔记本硬盘？A. 3.5英寸B. 1.8英寸C. 2.5英寸D.1英寸3.以下哪种规格不是SCSI硬盘的针脚数？A.50B.68C.72D.804.下列哪种接口的存储设备是不支持热插拔的？B接口B.E-SATA接口C.SATA接口D.IDE接口5.下列哪个选项是无法计算哈希值的？A.硬盘B.分区C.文件D.文件夹6.下列文件系统中，哪个是Windows 7系统不支持的？A.exFatB.NTFSC.HFSD.FAT327.下列有关文件的各类时间属性，操作系统是一定不记录的？A.创建时间B.修改时间C.访问时间D.删除时间8.下列哪种不是常见的司法取证中的硬盘镜像格式？A.GhoB.AFFC.S01D.0019.系统日志中某些内容可能对取证有重要意义，比如“事件日志服务启动”通常被视为计算机开机的标志，该事件所对应的事件编号为：A.5005B.5006C.6005D.600610.Encase Forensic是业界文明的司法取证软件，它是下面哪家公司开发的？A.GuidanceB.GetDataC.AccessDataD.PanSafe二、多选题（共10题，每题3分，共计30分）1.通常Windows系统中涉及文件的3个时间属性，M代表Modify，表示最后修改时间；A代表Access，表示最后访问时间；C代表Create，表示创建时间；下列解释错误的是？A．M始终要晚于CB．M、A、C在Linux系统中也适用C．M、A、C时间是不能被任何工具修改的，因此是可信的D．文件的M、A、C时间一旦发生变化，文件的哈希值随之改变2.下列关于对位复制的说法中，不正确的是？A．为了确保目标盘与源盘的一致性，一定要找到与源盘品牌、型号、容量均一致的目标盘进行复制B．为了确保司法取证的有效性，一定要验证目标盘与源盘哈希值的一致性C．为了确保目标盘与源盘的一致性，目标盘的硬盘接口一定要与源盘一致D．当目标盘容量大于源盘时，一定要计算目标盘整盘的哈希值，用于与源盘的哈希值进行比对一致性3.下列关于现场勘验过操作的说法中，不正确的是？A．DD文件是最常用的镜像格式，因为该格式是原始镜像，而且支持高压缩。
电子数据取证工作试题与答案
电子数据取证工作试题一、单选1CPU 的中文含义是____。
A主机B中央处理器C运算器D控制器2DOS命令实质上就是一段____。
A数据B可执行程序C数据库D计算机语言3E01的块数据校验采用A CRC算法B MD5算法C SHA-1算法D SHA-2算法4E01证据文件分卷大小默认为A 4.7GB 600MC 640MD 700M5FAT文件系统中，当用户按Shift+Del删除该文件后，以下描述正确的是？A 文件已经彻底从硬盘中删除B 文件已删除，但文件内容首字节被改为十六进制E5C 还在回收站中，可用取证大师恢复D文件已删除，但是数据还在，目录项首字节被改为十六进制E5 6FAT文件系统中通常有多少个FAT表?A 1B 2C 3D 47Linux系统中常见的文件系统是A Ext2/Ext3/Ext4B NTFSC FAT32D CDFS8MBR扇区通常最后两个字节十六进制值为(编码次序不考虑)A AA 11B 11 FFC 55 AAD 66 BB9Windows记事本不能保存的文本编码为A ANSIB RTFC UnicodeD UTF-810Windows中的“剪贴板”是________。
A 一个应用程序B磁盘上的一个文件C内存中的一个空间D一个专用文档11不属于简体中文编码的是A Big5B UFT-8C UnicodeD GB231212操作系统以扇区（Sector）形式将信息存储在硬盘上，每个扇区包括（）个字节的数据和一些其他信息。
A 64B 32C 58D 51213磁盘经过高级格式化后, 其表面形成多个不同半径的同心圆, 这些同心圆称为____。
A 磁道B 扇区C族D磁面14磁盘在格式化的时候被分为许多同心圆，这些同心圆轨迹叫做磁道，磁道是如何编号的A由外向内从0开始编号B由外向内从1开始编号C由内向外从0开始编号D由内向外从1开始编号15当前大多数硬盘采用的寻址方式为A CHSB LBAC AUTOD LARGE16断电会使原存信息消失的存储器是____。
电子数据取证理论技能考核试卷C
电子数据取证理论技能考核试卷姓名：部门：成绩：________________一、单项选择题（每题1.5分，共30分）1.现场拍照一般建议的流程是：（ B ）A. 小区入口→房间→楼层、门牌号→主卧→电脑B. 小区入口→楼层、门牌号→房间→主卧→电脑C. 小区入口→主卧→房间→楼层、门牌号→电脑D. 小区入口→电脑→房间→楼层、门牌号→主卧2.目前主流的硬盘接口，俗称“串口”的为：（ D ）A. ZIFB. SASC. IDED. SATA3.以下哪些是属于常见的硬盘接口？（ E ）A. IDEB. SATAC. LIFD. SASE. 以上都是4.需要一个记录有多数文件的文件签名特征及扩展名的数据库，即：（ B ）A. 签名库B. 文件签名库C. 文件库D. 文件属性库5.文件头部包含了成为（ C ）的识别信息，同一类型文件的文件头部信息是相同的。
A. 文件头B. 扩展名C. 签名D. 以上答案均不正确6.IMEI是国际移动设备身份码的缩写，国际移动装备识别码，是由（ C ）位数字组成的"电子串码"，它与每台手机相对应，理论上该码是全世界唯一的。
A. 14B. 16C. 15D. 187.通常情况下，收集数据的获取由现场环境和取证条件而决定，不包括以下哪种情况？（ D ）A、可视化获取B、逻辑获取C、物理获取D、动态获取8.手机数据物理获取是使用特定的方法或软硬件工具，将手机内部存储空间完整获取，以便进行后期调查分析，以下不是物理获取方法的是（ C ）A. 镜像采集终端获取B. JTAG获取C. 动态获取D. 焊接获取9.手机无法与分析机正常连接的原因（ D ）A、手机驱动问题B、手机通讯模式问题C、手机数据线问题D、以上都是10.SCSI转换器用于将SCSI硬盘转换为标准（ A ）接口，从而与主机连接。
A、SATAB、IDEC、SASD、LIF11.开盘维修硬盘需要的环境（ B ）A、真空室B、无尘室C、氧气室D、自然环境12.SAS为（），SATA为（ B ）A、全双工全双工B、全双工半双工C、半双工全双工D、半双工半双工13.手机输入PIN码3次都错误，SIM卡会被锁定，此时需要输入( B )码解锁。
电子数据取证笔试试卷2 1
精品文档电子数据取证试题说明：考试时间100分钟，满分100分，答案写在答题纸上。
一、单选题（共10题，每题2分，共计20分）1.硬盘作为最常见的计算机存储介质，近几年从容量到性能都有了很大的提高，以下哪种硬盘的理论传输速率最慢？A.SCSIB.IDEC.SASD.SATA2.以下哪种规格是市场上最常见的笔记本硬盘？C.2.5英寸英寸B.A.3.5英寸 1.8D.1英寸3.以下哪种规格不是SCSI硬盘的针脚数？B.68C.72D.A.50 804.下列哪种接口的存储设备是不支持热插拔的？B. E-SATA接口C.SATA接口D.IDE接口 B接口5.下列哪个选项是无法计算哈希值的？B.分区C.文件D.A.硬盘文件夹6.下列文件系统中，哪个是Windows 7系统不支持的？A.exFatB.NTFSC.HFSD.FAT327.下列有关文件的各类时间属性，操作系统是一定不记录的？B.修改时间C.A.创建时间访问时间D.删除时间8.下列哪种不是常见的司法取证中的硬盘镜像格式？A.GhoB.AFFC.S01D.0019.系统日志中某些内容可能对取证有重要意义，比如“事件日志服务启动”通常被视为计算机开机的标志，该事件所对应的事件编号为：A.5005B.5006C.6005D.600610.Encase Forensic是业界文明的司法取证软件，它是下面哪家公司开发的？D.C.A.Guidance B.GetDataAccessDataPanSafe二、多选题（共10题，每题3分，共计30分）1.通常Windows系统中涉及文件的3个时间属性，M代表Modify，表示最后修改时间；A代表Access，表示最后访问时间；C代表Create，表示创建时间；下列解释错误的是？A．M始终要晚于CB．M、A、C在Linux系统中也适用C．M、A、C时间是不能被任何工具修改的，因此是可信的精品文档．精品文档D．文件的M、A、C时间一旦发生变化，文件的哈希值随之改变2.下列关于对位复制的说法中，不正确的是？A．为了确保目标盘与源盘的一致性，一定要找到与源盘品牌、型号、容量均一致的目标盘进行复制B．为了确保司法取证的有效性，一定要验证目标盘与源盘哈希值的一致性C．为了确保目标盘与源盘的一致性，目标盘的硬盘接口一定要与源盘一致D．当目标盘容量大于源盘时，一定要计算目标盘整盘的哈希值，用于与源盘的哈希值进行比对一致性3.下列关于现场勘验过操作的说法中，不正确的是？A．DD文件是最常用的镜像格式，因为该格式是原始镜像，而且支持高压缩。
数据取证技术工作试题
数据取证技术工作试题
1. 数字取证基础知识
- 请解释数字取证的定义和目的。
- 简要介绍数字取证的主要步骤和流程。
2. 数据恢复和提取
- 描述一种常用的数据恢复方法，并解释其原理。
- 请说明如何提取和获取存储在手机上的数据，包括短信、通话记录和应用程序数据。
3. 取证工具和技术
- 列举几种流行的取证工具，并说明它们的特点和适用场景。
- 请介绍一种常用的取证技术，并解释其原理和应用。
4. 数据验证和完整性保护
- 请说明数字证据的验证过程和常用的验证方法。
- 如何保护数字证据的完整性和可信性？
5. 取证流程和法律要求
- 详细描述数字取证的关键流程和步骤。
- 数字取证工作中需要遵守哪些法律要求和道德准则？
6. 司法程序和数据取证
- 请解释数字取证在司法程序中的角色和重要性。
- 描述一个你在实践中遇到的数据取证案例，并讨论该案例对法律程序和调查结果产生的影响。
请注意，以上问题仅供参考，根据具体情况可以根据不同角度和要求进行调整和补充。
试题应旨在评估候选人的数字取证技术知识、应用能力和解决问题的能力，确保其适合从事该领域的工作。
电子数据取证工作试题
电子数据取证工作试题1.CPU的中文含义是中央处理器。
2.DOS命令实质上就是一段可执行程序。
3.E01的块数据校验采用CRC算法。
4.E01证据文件分卷大小默认为700M。
5.FAT文件系统中，当用户按Shift+Del删除该文件后，文件已删除，但数据还在，目录项首字节被改为十六进制E5，可用取证大师恢复。
6.FAT文件系统中通常有两个FAT表。
7.Linux系统中常见的文件系统是Ext2/Ext3/Ext4.8.MBR扇区通常最后两个字节十六进制值为55 AA。
9.Windows记事本不能保存的文本编码为Unicode。
10.Windows中的“剪贴板”是内存中的一个空间。
11.不属于简体中文编码的是Big5.12.操作系统以扇区（Sector）形式将信息存储在硬盘上，每个扇区包括512个字节的数据和一些其他信息。
13.磁盘经过高级格式化后，其表面形成多个不同半径的同心圆，这些同心圆称为磁道。
14.磁盘在格式化的时候被分为许多同心圆，这些同心圆轨迹由外向内从开始编号。
15.当前大多数硬盘采用的寻址方式为LBA。
16.断电会使原存信息消失的存储器是RAM。
17.关于MBR的描述，错误的是分区表项存在MBR当中。
1.ARAID也称为廉价磁盘冗余阵列或独立磁盘冗余阵列。
BRAID0只需要一个硬盘损坏，数据就会丢失。
CRAID1只需要一个硬盘损坏，数据就会丢失。
DRAID5至少需要三个磁盘来组成。
2.关于U盘的描述，错误的有：A。
U盘不是通过磁头来读写数据的。
B。
U盘不是通过盘片来存储数据的。
C。
U盘取证需要连接只读锁。
D。
U盘在高级格式化时不会被划分成许多磁道。
3.关于磁盘分区的说法，错误的是：A。
磁盘分区后需要操作系统来存放数据。
B。
分区是通过低级格式化来实现的。
C。
分区是通过高级格式化来实现的。
D。
Windows中同一个分区中只能存放相同文件系统格式的文件。
4.关于回收站文件夹的描述，正确的有：A。
智慧树知到答案 电子数据取证章节测试答案
第一章单元测试1、单选题：根据洛卡德物质交换（转移）原理，下列说法正确的是（）。
选项：A:两个对象接触时，物质不会在这两个对象之间产生交换或者转移。
B:网络犯罪过程中，嫌疑人使用的电子设备同被害者使用的电子设备、网络之间的电子数据不存在相互交换。
C:嫌疑人会获取所侵入计算机中的电子数据；另一方面他也会在所侵入计算机系统中留下有关自己所使用计算机的电子“痕迹”。
D:网络犯罪中的电子数据或“痕迹”都是自动转移或交换的结果，受人为控制，不仅保存于作为犯罪工具的计算机与处于被害地位的计算机中，而且在登录所途经的有关网络节点中也有保留。
答案: 【嫌疑人会获取所侵入计算机中的电子数据；另一方面他也会在所侵入计算机系统中留下有关自己所使用计算机的电子“痕迹”。
】2、单选题：电子数据作为证据使用的基本特性包括( )。
选项：A:客观性、合法性、电子性B:客观性、合法性、关联性C:客观性、虚拟性、关联性D:客观性、真实性、电子性答案: 【客观性、合法性、关联性】3、多选题：电子数据取证架构包括下列哪些（）组成。
选项：A:对象层B:基础层C:技术层D:证据层答案: 【对象层;基础层;技术层;证据层】4、多选题：电子数据取证与应急响应在哪些方面存在不同（）。
选项：A:过程B:目标C:实施主体D:使用的方法和技术答案: 【过程;目标;实施主体】5、判断题：要做好电子数据取证，不仅要掌握电子数据的物理存储知识，还必须掌握电子数据的逻辑存储知识。
（）选项：A:错B:对答案: 【对】第二章单元测试1、单选题：通常使用（）来保障电子证据的“真实性”与“有效性”。
选项：A:数据获取技术B:数字校验技术C:克隆技术D:数据恢复技术答案: 【数字校验技术】2、多选题：物理修复包括（）。
选项：A:芯片级修复B:固件修复C:文件级修复D:物理故障修复答案: 【芯片级修复;固件修复;物理故障修复】3、多选题：以下属于FAT32文件系统逻辑结构的是（）。
电子证据调查考核试卷
B.证据内容真实
C.证据获取合法
D.证据与案件无关
14.在电子证据调查过程中，以下哪个环节可能导致证据污染？（）
A.证据固定
B.证据提取
C.证据保存
D.证据提交
15.电子证据调查中，以下哪项措施可以降低证据被篡改的风险？（）
A.证据原件保管
B.证据复制件保管
C.证据原件与复制件分离保管
1.电子证据的特点包括（）
A.便于复制
B.易于篡改
C.传输速度快
D.存储容量大
2.以下哪些属于电子证据的获取方式？（）
A.数据恢复
B.网络截取
C.硬件提取
D.软件分析
3.电子证据的固定方法包括（）
A.制作镜像
B.使用防篡改存储设备
C.加密保护
D.直接打印
4.以下哪些措施可以保障电子证据的完整性？（）
C.证据的丢失
D.证据的延误
5.以下哪种方法不适合电子证据的保全？（）
A.数据备份
B.加密存储
C.纸质打印
D.公证保全
6.电子证据的审查主要从以下哪个方面进行？（）
A.证据来源
B.证据内容
C.证据获取过程
D.所有上述方面
7.在我国，电子证据的法定审查标准是（）
A.真实性
B.合法性
C.有效性
D. A和B
3.电子证据的______是指证据在形成、存储、传输过程中保持其原始性和完整性的特性。
4.电子证据的获取过程中，应当遵循的最重要的原则是______。
5.在进行电子证据的提取时，常用的方法是______和______。
6.电子证据的鉴定人应当具备专业的技术知识、良好的职业道德和______。
电子数据取证笔试试卷-1
电子数据取证试题说明：考试时间100分钟，满分100分，答案写在答题纸上。
一、单选题（共10题，每题2分，共计20分）1.硬盘作为最常见的计算机存储介质，近几年从容量到性能都有了很大的提高，以下哪种硬盘的理论传输速率最慢？A.SCSIB.IDEC.SASD.SATA2.以下哪种规格是市场上最常见的笔记本硬盘？A. 3.5英寸B. 1.8英寸C. 2.5英寸D.1英寸3.以下哪种规格不是SCSI硬盘的针脚数？A.50B.68C.72D.804.下列哪种接口的存储设备是不支持热插拔的？B接口B.E-SATA接口C.SATA接口D.IDE接口5.下列哪个选项是无法计算哈希值的？A.硬盘B.分区C.文件D.文件夹6.下列文件系统中，哪个是Windows 7系统不支持的？A.exFatB.NTFSC.HFSD.FAT327.下列有关文件的各类时间属性，操作系统是一定不记录的？A.创建时间B.修改时间C.访问时间D.删除时间8.下列哪种不是常见的司法取证中的硬盘镜像格式？A.GhoB.AFFC.S01D.0019.系统日志中某些内容可能对取证有重要意义，比如“事件日志服务启动”通常被视为计算机开机的标志，该事件所对应的事件编号为：A.5005B.5006C.6005D.600610.Encase Forensic是业界文明的司法取证软件，它是下面哪家公司开发的？A.GuidanceB.GetDataC.AccessDataD.PanSafe二、多选题（共10题，每题3分，共计30分）1.通常Windows系统中涉及文件的3个时间属性，M代表Modify，表示最后修改时间；A代表Access，表示最后访问时间；C代表Create，表示创建时间；下列解释错误的是？A．M始终要晚于CB．M、A、C在Linux系统中也适用C．M、A、C时间是不能被任何工具修改的，因此是可信的D．文件的M、A、C时间一旦发生变化，文件的哈希值随之改变2.下列关于对位复制的说法中，不正确的是？A．为了确保目标盘与源盘的一致性，一定要找到与源盘品牌、型号、容量均一致的目标盘进行复制B．为了确保司法取证的有效性，一定要验证目标盘与源盘哈希值的一致性C．为了确保目标盘与源盘的一致性，目标盘的硬盘接口一定要与源盘一致D．当目标盘容量大于源盘时，一定要计算目标盘整盘的哈希值，用于与源盘的哈希值进行比对一致性3.下列关于现场勘验过操作的说法中，不正确的是？A．DD文件是最常用的镜像格式，因为该格式是原始镜像，而且支持高压缩。
电子取证面试题目(3篇)
第1篇一、基础知识1. 请简要介绍电子取证的概念及其在网络安全领域的应用。
2. 电子取证的基本流程包括哪些步骤？3. 请列举几种常见的电子取证工具。
4. 请解释什么是数字证据，并说明其特点。
5. 在电子取证过程中，如何确保证据的完整性和可靠性？6. 请简述电子取证在调查网络犯罪案件中的作用。
7. 电子取证过程中，如何处理证据的保密性和隐私性问题？8. 请说明电子取证在处理企业内部纠纷、知识产权保护等方面的应用。
9. 电子取证过程中，如何确保证据的时效性？10. 请简述电子取证在处理网络攻击、网络诈骗等犯罪案件中的作用。
二、技术技能1. 请介绍Windows操作系统中常见的取证工具，如：Windows资源管理器、事件查看器等。
2. 请介绍Linux操作系统中常见的取证工具，如：find、grep、ps等。
3. 请说明如何使用Regedit工具进行Windows注册表取证。
4. 请说明如何使用WinDbg工具进行内存取证。
5. 请介绍如何利用Wireshark工具进行网络流量取证。
6. 请说明如何使用X-Ways Forensics进行文件系统取证。
7. 请介绍如何使用Autopsy进行网页取证。
8. 请说明如何使用Volatility进行内存取证。
9. 请介绍如何利用RegRipper进行注册表取证。
10. 请说明如何使用Foremost进行文件恢复。
三、实战案例1. 请简述一起网络攻击案件的取证过程。
2. 请简述一起网络诈骗案件的取证过程。
3. 请简述一起企业内部纠纷案件的取证过程。
4. 请简述一起知识产权保护案件的取证过程。
5. 请简述一起计算机犯罪案件的取证过程。
6. 请简述一起计算机病毒感染案件的取证过程。
7. 请简述一起计算机数据丢失案件的取证过程。
8. 请简述一起手机取证案件的取证过程。
9. 请简述一起网络钓鱼案件的取证过程。
10. 请简述一起电子邮件取证案件的取证过程。
四、法律知识1. 请列举我国与电子取证相关的法律法规。
电子数据取证理论技能考核试卷C
电子数据取证理论技能考核试卷姓名：部门：成绩：________________一、单项选择题（每题1.5分，共30分）1.现场拍照一般建议的流程是：（ B ）A. 小区入口→房间→楼层、门牌号→主卧→电脑B. 小区入口→楼层、门牌号→房间→主卧→电脑C. 小区入口→主卧→房间→楼层、门牌号→电脑D. 小区入口→电脑→房间→楼层、门牌号→主卧2.目前主流的硬盘接口，俗称“串口”的为：（ D ）A. ZIFB. SASC. IDED. SATA3.以下哪些是属于常见的硬盘接口？（ E ）A. IDEB. SATAC. LIFD. SASE. 以上都是4.需要一个记录有多数文件的文件签名特征及扩展名的数据库，即：（ B ）A. 签名库B. 文件签名库C. 文件库D. 文件属性库5.文件头部包含了成为（ C ）的识别信息，同一类型文件的文件头部信息是相同的。
A. 文件头B. 扩展名C. 签名D. 以上答案均不正确6.IMEI是国际移动设备身份码的缩写，国际移动装备识别码，是由（ C ）位数字组成的"电子串码"，它与每台手机相对应，理论上该码是全世界唯一的。
A. 14B. 16C. 15D. 187.通常情况下，收集数据的获取由现场环境和取证条件而决定，不包括以下哪种情况？（ D ）A、可视化获取B、逻辑获取C、物理获取D、动态获取8.手机数据物理获取是使用特定的方法或软硬件工具，将手机内部存储空间完整获取，以便进行后期调查分析，以下不是物理获取方法的是（ C ）A. 镜像采集终端获取B. JTAG获取C. 动态获取D. 焊接获取9.手机无法与分析机正常连接的原因（ D ）A、手机驱动问题B、手机通讯模式问题C、手机数据线问题D、以上都是10.SCSI转换器用于将SCSI硬盘转换为标准（ A ）接口，从而与主机连接。
A、SATAB、IDEC、SASD、LIF11.开盘维修硬盘需要的环境（ B ）A、真空室B、无尘室C、氧气室D、自然环境12.SAS为（），SATA为（ B ）A、全双工全双工B、全双工半双工C、半双工全双工D、半双工半双工13.手机输入PIN码3次都错误，SIM卡会被锁定，此时需要输入( B )码解锁。
电子数据取证笔试试卷(2)-1
电子数据取证笔试试卷(2)-1单位：姓名：得分：电子数据取证试题说明：考试时间100分钟，满分100分，答案写在答题纸上。
一、单选题（共10题，每题2分，共计20分）1. 硬盘作为最常见的计算机存储介质，近几年从容量到性能都有了很大的提高，以下哪种硬盘的理论传输速率最慢？ A. SCSB.I I A. 3 A. 5A. USBA. 硬接.5英寸B. 1DEC. SAD.S SATA2. 以下哪种规格是市场上最常见的笔记本硬盘？.8英寸C. 2.5英寸D. 1英寸3. 以下哪种规格不是SCSI硬盘的针脚数？B0. 6C8. 7D2. 84. 下列哪种接口的存储设备是不支持热插拔的？口B. E-SATA接口C. SATA接口D. IDE接口5. 下列哪个选项是无法计算哈希值的？盘B. 分区C. 文件D. 文件夹6. 下列文件系统中，哪个是Windows 7系统不支持的？A. eA. 创FaB.t NTFC.S HFD.S FAT327. 下列有关文件的各类时间属性，操作系统是一定不记录的？建时间B. 修改时间C. 访问时间D. 删除时8. 下列哪种不是常见的司法取证中的硬盘镜像格式？A. GhBo. AFC.F SD1. 019. 系统日志中某些内容可能对取证有重要意义，比如“事件日志服务启动”通常被视为计算机开机的标志，该事件所对应的事件编号为：A. 500B5. 500C6. 6D5. 6610.Encase Forensic是业界文明的司法取证软件，它是下面哪家公司开发的？A. Guidance B . GetDatC.a AccessDatD.a PanSafe二、多选题（共10题，每题3分，共计30分）1. 通常Windows系统中涉及文件的3个时间属性，M代表Modify，表示最后修改时间；A代表Access，表示最后访问时间；C代表Create，表示创建时间；下列解释错误的是？A． M始终要晚于CB． M、A、C在Linux系统中也适用C． M、A、C时间是不能被任何工具修改的，因此是可信的单位：姓名：得分：D．文件的M、A、C时间一旦发生变化，文件的哈希值随之改变2. 下列关于对位复制的说法中，不正确的是？A．为了确保目标盘与源盘的一致性，一定要找到与源盘品牌、型号、容量均一致的目标盘进行复制B．为了确保司法取证的有效性，一定要验证目标盘与源盘哈希值的一致性 C．为了确保目标盘与源盘的一致性，目标盘的硬盘接口一定要与源盘一致D．当目标盘容量大于源盘时，一定要计算目标盘整盘的哈希值，用于与源盘的哈希值进行比对一致性3. 下列关于现场勘验过操作的说法中，不正确的是？A． DD文件是最常用的镜像格式，因为该格式是原始镜像，而且支持高压缩。
电子数据取证期末考试题习题及答案
1、说明在Python中常用的注释方式包括哪些？答：①单行注释：行首# ②多行注释：三个单引号或三个双引号包括要注释的内容③编码注释：#coding=utf-8或#coding=gbk ④平台注释：#！usr/bin/python2、说明在Python中单引号、双引号和三引号之间的区别。
答：①单引号和双引号通常用于单行字符串的表示，也可通过使用\n换行后表示多行字符串②三单引号和三双引号通常用于表示多行字符串以及多行注释，表示多行时无需使用任何多余字符。
③使用单引号表示的字符串中可以直接使用双引号而不必进行转义，使用双引号表示的字符同理；三引号中可直接使用单引号和双引号而无需使用反斜杠转转义，三引号表示的字符串中可以输出#后面的内容。
3、说明在Python中的代码a,b=b,a实现了什么功能。
答：a,b数值互换4、Python提供了哪两种基本的循环结构。
答：For，while5、Python中的常用可迭代对象包括哪些？答：①序列，包括列表、元组、字典、集合及range②迭代器对象③生成器对象④文件对象6、Python2.7的标准库hashlib中包含的hash算法包括哪些？答：MD5，SHA1，SHA256，SHA512。
7、在Python编程中，常见的结构化输出文件格式包括哪些。
答：Csv,xml,html,json8、在Python编程中，变量名区分英文字母的大小写，基于值的内存管理方式，使用缩进来体现代码之间的逻辑关系。
（√）9、Python中的lambda函数也就是指匿名函数，通常是在需要一个函数，但是又不想去命名一个函数的场合下使用。
（√）10、在Python中如果需要处理文件路径，可以使用（OS ）模块中的对象和方法。
11、在Python中的字符串和元组属于不可变序列，列表、字典、集合属于可变序列。
（√）12、在Python中集合数据类型的所有元素不允许重复。
（√）13、在Python中如何创建只包含一个元素的元组？答：tuple1=(a, )14、在Python中字典数据类型的“值”允许重复，“键”不可以重复。
q2取证考试题库及答案
q2取证考试题库及答案一、单项选择题1. 电子数据取证是指采用技术手段，对电子数据进行（）的过程。
A. 收集、保护、分析和呈现B. 收集、分析、存储和删除C. 保护、分析、存储和删除D. 收集、保护、存储和删除答案：A2. 在电子数据取证过程中，以下哪项不是取证人员必须遵循的原则？（）A. 合法性原则B. 客观性原则C. 保密性原则D. 随意性原则答案：D3. 以下哪项不是电子数据取证的主要步骤？（）A. 数据收集B. 数据保护C. 数据分析D. 数据丢弃答案：D4. 电子数据取证中，以下哪项不属于数据保护的方法？（）A. 哈希值校验B. 写保护C. 物理隔离D. 数据共享答案：D5. 在电子数据取证中，以下哪项不是常用的数据恢复技术？（）A. 文件系统恢复B. 磁盘镜像C. 数据覆盖D. 碎片重组答案：C二、多项选择题6. 电子数据取证中，以下哪些因素可能影响证据的完整性？（）A. 取证工具的可靠性B. 取证人员的技术水平C. 取证环境的稳定性D. 证据的存储介质答案：A、B、C、D7. 以下哪些是电子数据取证中常用的数据提取工具？（）A. 取证软件B. 磁盘镜像工具C. 网络监控工具D. 数据恢复软件答案：A、B、D8. 在电子数据取证中，以下哪些措施可以提高证据的可靠性？（）A. 使用专业的取证工具B. 确保取证过程的记录C. 采用加密技术保护数据D. 定期进行数据备份答案：A、B、C三、判断题9. 电子数据取证中，所有的数据收集活动都必须在法律允许的范围内进行。
（）答案：√10. 电子数据取证过程中，取证人员可以根据自己的判断随意删除或修改数据。
（）答案：×四、简答题11. 简述电子数据取证的基本流程。
答案：电子数据取证的基本流程包括数据收集、数据保护、数据分析和数据呈现。
首先，取证人员需要收集与案件相关的电子数据；其次，对收集到的数据进行保护，确保数据的完整性和安全性；然后，对数据进行分析，提取有价值的信息；最后，将分析结果以合适的方式呈现给法庭或其他相关人员。
电子数据取证与鉴定技术考试
电子数据取证与鉴定技术考试（答案见尾页）一、选择题1. 电子数据取证与鉴定技术主要涉及哪些步骤？A. 收集、保护、分析、报告B. 检验、调查、收集、分析C. 比较、分析、提取、报告D. 保护、监控、分析、报告2. 电子证据在法律诉讼中扮演什么角色？A. 作为呈堂证供B. 作为法庭审理的辅助工具C. 作为案件审理的直接证据D. 作为案件审理的间接证据3. 在进行电子数据取证时，以下哪个选项是最佳的安全措施？A. 使用强密码并定期更改B. 对存储介质进行加密C. 定期备份数据D. 防火墙和入侵检测系统4. 电子数据取证中，如何确保证据的完整性和真实性？A. 使用专业软件进行数据恢复B. 从可信来源获取证据C. 对证据进行多次验证D. 保持证据的存储和传输安全5. 电子数据取证中，如何处理被删除或损坏的数据？A. 使用数据恢复工具B. 从备份中恢复数据C. 创建新的数据副本D. 请教专家或法律顾问6. 在电子数据取证中，什么是“数字签名”？A. 一种防止数据被篡改的技术B. 一种验证数据完整性的方法C. 一种加密技术D. 一种身份认证机制7. 以下哪个选项不是电子数据取证中常用的文件格式？A. PDFB. JPEGC. TIFFD. XML8. 在进行电子数据取证时，如何识别和避免潜在的威胁？A. 限制对敏感数据的访问B. 定期更新安全补丁C. 使用防火墙和入侵检测系统D. 对员工进行安全培训9. 电子数据取证中，如何确保证据的合规性？A. 遵守相关法律法规和行业标准B. 保持证据的完整性和可读性C. 提供充分的证据链D. 与相关法律机构合作10. 以下哪个选项不是电子数据取证中常用的技术？A. 数据解密B. 数据压缩C. 数据加密D. 数据备份11. 电子数据取证与鉴定技术主要涉及哪些方面的内容？A. 数据恢复与备份B. 数据加密与解密C. 电子证据收集与分析D. 数据存储与安全12. 在进行电子数据取证时，以下哪个步骤是至关重要的？A. 确保数据的完整性和原始性B. 保护隐私权和法律规定C. 使用合适的工具和技术D. 遵循法律程序和规定13. 电子数据取证与鉴定技术中的关键因素包括哪些？A. 技术能力B. 法律法规C. 专业知识和经验D. 伦理和道德14. 以下哪个选项不是电子数据取证中常用的存储介质？A. 磁盘B. 光盘C. U盘D. 移动硬盘15. 在电子数据取证过程中，如何确保证据的合规性和合法性？A. 遵循法律法规和规定B. 使用合法的工具和技术C. 保证证据的完整性和原始性D. 保持客观和中立16. 以下哪个选项不是电子数据取证中常见的文件类型？A. Word文档B. PDF文档C. JPEG图像D. Excel表格17. 在电子数据取证中，如何验证证据的真实性？A. 通过哈希值比对B. 检查文件的修改时间C. 验证文件的数字签名D. 检查文件的创建者和最后修改者18. 电子数据取证与鉴定技术中的伦理和道德问题主要包括哪些？A. 保护隐私权B. 遵守法律规定C. 不泄露敏感信息D. 保守秘密19. 以下哪个选项不是电子数据取证中常用的数据分析方法？A. 关键字搜索B. 聚类分析C. 统计分析D. 人工智能分析20. 电子数据取证与鉴定技术主要涉及哪几个方面？A. 数据恢复B. 数据分析C. 数据完整性验证D. 数据存储21. 在进行电子数据取证时，以下哪个步骤是错误的？A. 制定详细的取证计划B. 收集和保存电子数据C. 执行数据恢复D. 分析和解释取证结果22. 电子数据取证中，如何处理已经删除或格式化的数据？A. 使用数据恢复工具B. 数据库备份C. 恢复到备份D. 以上所有23. 电子数据取证中，如何进行数据分析？A. 使用专门的取证工具B. 基于经验进行判断C. 遵循法律和规定D. A和C24. 电子数据取证中，如何识别和提取电子证据？A. 依赖专业知识B. 使用自动化工具C. 遵循法律程序D. A和B25. 电子数据取证中，如何保证证据的合规性？A. 遵循相关法律法规B. 与法律专业人士合作C. 保持记录和文档D. A和B26. 电子数据取证与鉴定技术的未来发展趋势是什么？A. 技术创新B. 法律法规的完善C. 跨学科合作的加强D. A和B27. 在电子数据取证过程中，以下哪个选项是正确的？A. 只要数据没有被删除，就可以直接进行分析B. 只要数据没有被删除，就可以直接进行分析C. 无论数据是否被删除，都应该进行备份D. 只有在数据被删除后，才需要进行备份28. 在电子数据取证中，如何识别和提取电子证据？A. 使用数据恢复工具B. 使用专门的取证软件C. 使用法律规定的取证方法D. 使用互联网搜索技术29. 以下哪个选项不是电子数据取证中的关键步骤？A. 数据备份B. 数据分析C. 数据保护D. 数据销毁30. 在电子数据取证中，如何防止证据被篡改？A. 使用加密技术B. 使用只读设备C. 使用数字签名技术D. 使用第三方审计机构31. 在电子数据取证中，如何验证电子证据的法律效力？A. 使用法律规定的取证方法B. 使用专业的取证工具C. 向法院申请取证令D. 与当事人协商32. 以下哪个选项不是电子数据取证中的风险因素？A. 数据损坏B. 数据丢失C. 技术漏洞D. 法律法规变化33. 在电子数据取证中，如何处理已经删除的数据？A. 数据恢复B. 数据备份C. 数据擦除D. 数据隐藏34. 在电子数据取证过程中，以下哪个选项是确保证据完整性的关键步骤？A. 扫描和加密B. 创建快照C. 数据备份D. 防止篡改35. 电子数据取证中，如何验证证据的真实性？A. 通过哈希算法进行比对B. 检查创建时间和修改时间戳C. 验证数字签名D. 以上所有方法36. 在电子数据取证中，如何处理已经损坏的数据？A. 重新收集和保存数据B. 使用数据恢复工具C. 从其他相同类型的数据中提取信息D. 以上所有方法37. 在电子数据取证中，如何识别和防止恶意软件的攻击？A. 安装防病毒软件B. 定期更新系统和应用程序C. 不打开未知来源的邮件和链接D. 以上所有方法38. 电子数据取证中，如何保证证据的保密性？A. 加密存储B. 访问控制C. 审计和监控D. 以上所有方法39. 在电子数据取证中，如何从电子邮件中提取附件？A. 使用邮件客户端提供的功能B. 使用独立的文件提取工具C. 仔细检查邮件正文内容D. 以上所有方法40. 电子数据取证中，如何对数字签名进行验证？A. 通过公钥和私钥进行比对B. 检查签名者的证书C. 验证签名的完整性D. 以上所有方法41. 在电子数据取证中，如何对数据进行法律取证？A. 遵守法律法规和行业标准B. 保留所有与案件相关的记录C. 提供法律认可的证明文件D. 以上所有方法二、问答题1. 电子数据取证与鉴定技术是什么？2. 电子数据取证过程中应遵循哪些原则？3. 常见的电子数据类型有哪些？4. 如何确保电子数据取证过程的完整性？5. 电子数据取证与鉴定技术在实际案件中的应用有哪些？6. 在进行电子数据取证时，如何处理和分析原始数据？7. 电子数据取证与鉴定技术面临哪些挑战？8. 未来电子数据取证与鉴定技术的发展趋势是什么？参考答案选择题：1. A2. A3. B4. C5. B6. B7. D8. D9. A 10. B11. ABCD 12. ABCD 13. ABCD 14. D 15. ABC 16. C 17. ABCD 18. ABCD 19. D 20. ABCD21. C 22. D 23. D 24. D 25. D 26. D 27. C 28. C 29. D 30. A31. C 32. D 33. C 34. D 35. D 36. D 37. D 38. D 39. D 40. D41. D问答题：1. 电子数据取证与鉴定技术是什么？电子数据取证与鉴定技术是一门研究如何从数字设备中提取、分析和验证电子证据的学科。
电子取证单选题
1，复合文件包含了一系列的独立数据流，关于数据流，下列哪些说法是正确的。
（D）A，同一个存储下面的直接相连接的存储和流的名字必须相同；B，不同存储下面的存储和流的名字可以不同；C，两个不一样的存储中，不可以出现两个相同名字的流；D，每个复合文件包含一个根存储，这个根存储是所有存储和流直接或间接父母。
2，中止扇区标识符链的特殊尾随标识符是下列哪一数值？（B）A，-1；B，-2；C，-3；D，-4。
3，特殊扇区标识符数值为-4，其代表的含义为？（A）A，MSAT SecID;B，Free SecID;C，End Of Chain SecID;D，SAT SecID.4，复合文件头的大小是准确的？（C）A，128字节；B，256字节；C，512字节；D，1024字节。
5，在现实的运用中，一般数据存储方式都选择下列哪种存储方式？（A）A，little-endian；B，Big-endian；C，Head-endian;D，Tail-endian。
5，每个目录条目均为大小准确的128字节，但其中有4字节不被使用，这4个字节的位置是？（D）A，第0—3字节。
B，第60—63字节。
C，第92—95字节。
D，第124—127字节。
6，计时戳区域是一个什么类型的数值？(B)A，长整型64位数值。
B，无符号64位数值。
C，长整型128位数值。
D，无符号128位数值。
7，在读取复合文件头时，文件的前512字节中，头8个字节代表的含义是？（C）A，修正号和版本号。
B，字节顺序标识符。
C，已修复的复合文件标识符。
D，短扇区标识符。
8，SAT开始于文件地址的哪一处？（C）A，00000000H。
B，00000100H。
C，00000200H。
D，00000300H。
9，RSA加密算法的安全性，依赖于大数分解，因此，为了提高RSA加密算法的安全性，需要尽量选择（）。
（B）A，足够大的数。
B，足够大的质数。
C，足够大的基数。
D，足够大的合数。
电子数据取证理论技能考核试卷C
电子数据取证理论技能考核试卷C电子数据取证理论技能考核试卷姓名：部门：成绩：________________一、单项选择题（每题1.5分，共30分）1.现场拍照一般建议的流程是：（ B ）A. 小区入口→房间→楼层、门牌号→主卧→电脑B. 小区入口→楼层、门牌号→房间→主卧→电脑C. 小区入口→主卧→房间→楼层、门牌号→电脑D. 小区入口→电脑→房间→楼层、门牌号→主卧2.目前主流的硬盘接口，俗称“串口”的为：（ D ）A. ZIFB. SASC. IDED. SATA3.以下哪些是属于常见的硬盘接口？（ E ）A. IDEB. SATAC. LIFD. SASE. 以上都是4.需要一个记录有多数文件的文件签名特征及扩展名的数据库，即：（ B ）A. 签名库B. 文件签名库C. 文件库D. 文件属性库5.文件头部包含了成为（C ）的识别信息，同一类型文件的文件头部信息是相同的。
A. 文件头B. 扩展名C. 签名D. 以上答案均不正确6.IMEI是国际移动设备身份码的缩写，国际移动装备识别码，是由（ C ）位数字组成的"电子串码"，它与每台手机相对应，理论上该码是全世界唯一的。
A. 14B. 16C. 15D. 187.通常情况下，收集数据的获取由现场环境和取证条件而决定，不包括以下哪种情况？（ D ）A、可视化获取B、逻辑获取C、物理获取D、动态获取8.手机数据物理获取是使用特定的方法或软硬件工具，将手机内部存储空间完整获取，以便进行后期调查分析，以下不是物理获取方法的是（ C ）A. 镜像采集终端获取B. JTAG获取C. 动态获取D. 焊接获取9.手机无法与分析机正常连接的原因（ D ）A、手机驱动问题B、手机通讯模式问题C、手机数据线问题D、以上都是10.SCSI转换器用于将SCSI硬盘转换为标准（ A ）接口，从而与主机连接。
A、SATAB、IDEC、SASD、LIF11.开盘维修硬盘需要的环境（ B ）A、真空室B、无尘室C、氧气室D、自然环境12.SAS为（），SATA为（ B ）A、全双工全双工B、全双工半双工C、半双工全双工D、半双工半双工13.手机输入PIN码3次都错误，SIM卡会被锁定，此时需要输入( B )码解锁。
电子数据取证期末考试题习题及答案
1、说明在Python中常用的注释方式包括哪些？答：①单行注释：行首# ②多行注释：三个单引号或三个双引号包括要注释的内容③编码注释：#coding=utf-8或#coding=gbk ④平台注释：#！usr/bin/python2、说明在Python中单引号、双引号和三引号之间的区别。
答：①单引号和双引号通常用于单行字符串的表示，也可通过使用\n换行后表示多行字符串②三单引号和三双引号通常用于表示多行字符串以及多行注释，表示多行时无需使用任何多余字符。
③使用单引号表示的字符串中可以直接使用双引号而不必进行转义，使用双引号表示的字符同理；三引号中可直接使用单引号和双引号而无需使用反斜杠转转义，三引号表示的字符串中可以输出#后面的内容。
3、说明在Python中的代码a,b=b,a实现了什么功能。
答：a,b数值互换4、Python提供了哪两种基本的循环结构。
答：For，while5、Python中的常用可迭代对象包括哪些？答：①序列，包括列表、元组、字典、集合及range②迭代器对象③生成器对象④文件对象6、Python2.7的标准库hashlib中包含的hash算法包括哪些？答：MD5，SHA1，SHA256，SHA512。
7、在Python编程中，常见的结构化输出文件格式包括哪些。
答：Csv,xml,html,json8、在Python编程中，变量名区分英文字母的大小写，基于值的内存管理方式，使用缩进来体现代码之间的逻辑关系。
（√）9、Python中的lambda函数也就是指匿名函数，通常是在需要一个函数，但是又不想去命名一个函数的场合下使用。
（√）10、在Python中如果需要处理文件路径，可以使用（OS ）模块中的对象和方法。
11、在Python中的字符串和元组属于不可变序列，列表、字典、集合属于可变序列。
（√）12、在Python中集合数据类型的所有元素不允许重复。
（√）13、在Python中如何创建只包含一个元素的元组？答：tuple1=(a, )14、在Python中字典数据类型的“值”允许重复，“键”不可以重复。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
电子数据取证试题
说明：考试时间100分钟，满分100分，答案写在答题纸上。
一、单选题（共10题，每题2分，共计20分）
1.硬盘作为最常见的计算机存储介质，近几年从容量到性能都有了很大的提高，以下哪种
硬盘的理论传输速率最慢？
A.SCSI
B.IDE
C.SAS
D.SATA
2.以下哪种规格是市场上最常见的笔记本硬盘？
A. 3.5英寸
B. 1.8英寸
C. 2.5英寸
D.1英寸
3.以下哪种规格不是SCSI硬盘的针脚数？
A.50
B.68
C.72
D.80
4.下列哪种接口的存储设备是不支持热插拔的？
B接口
B.E-SATA接口
C.SATA接口
D.IDE接口
5.下列哪个选项是无法计算哈希值的？
A.硬盘
B.分区
C.文件
D.文件夹
6.下列文件系统中，哪个是Windows 7系统不支持的？
A.exFat
B.NTFS
C.HFS
D.FAT32
7.下列有关文件的各类时间属性，操作系统是一定不记录的？
A.创建时间
B.修改时间
C.访问时间
D.删除时间
8.下列哪种不是常见的司法取证中的硬盘镜像格式？
A.Gho
B.AFF
C.S01
D.001
9.系统日志中某些内容可能对取证有重要意义，比如“事件日志服务启动”通常被视为计
算机开机的标志，该事件所对应的事件编号为：
A.5005
B.5006
C.6005
D.6006
10.Encase Forensic是业界文明的司法取证软件，它是下面哪家公司开发的？
A.Guidance
B.GetData
C.AccessData
D.PanSafe
二、多选题（共10题，每题3分，共计30分）
1.通常Windows系统中涉及文件的3个时间属性，M代表Modify，表示最后修改时间；A
代表Access，表示最后访问时间；C代表Create，表示创建时间；下列解释错误的是？
A．M始终要晚于C
B．M、A、C在Linux系统中也适用
C．M、A、C时间是不能被任何工具修改的，因此是可信的
D．文件的M、A、C时间一旦发生变化，文件的哈希值随之改变
2.下列关于对位复制的说法中，不正确的是？
A．为了确保目标盘与源盘的一致性，一定要找到与源盘品牌、型号、容量均一致的目标盘进行复制
B．为了确保司法取证的有效性，一定要验证目标盘与源盘哈希值的一致性
C．为了确保目标盘与源盘的一致性，目标盘的硬盘接口一定要与源盘一致
D．当目标盘容量大于源盘时，一定要计算目标盘整盘的哈希值，用于与源盘的哈希值进行比对一致性
3.下列关于现场勘验过操作的说法中，不正确的是？
A．DD文件是最常用的镜像格式，因为该格式是原始镜像，而且支持高压缩。
B．为了固定运行着的计算机的桌面状态，首先应该按键盘的PrtSc键进行截图。
C．对于关机状态下的计算机进行固定时，优先采取对硬盘盘体进行开盘操作的方式。
D．对于关机状态下又无法拆卸硬盘的计算机，应该开机直接查看系统里的数据。
4.下列文件系统中，哪些是Windows的文件系统？
A.HFS/HFS+
B.EXT2/3/4
C.NTFS
D.FAT16/32
5.下列关于对位复制和创建镜像的说法中，错误的是？
A．一般情况下，对位复制时，目标盘容量要等于源盘容量
B．制作DD镜像时，能够将500G源盘的完整DD镜像生成到500G的目标盘中
C．一般情况下，源盘生成的E01镜像，占用的空间小于同一块盘生成的DD镜像
D．用专门的镜像哈希计算工具，计算的同一块硬盘的DD和E01镜像哈希值是相同的
6.当一块硬盘被连接到计算机上时，Windows系统已经为其分配盘符，但双击该盘符提示
是否需要格式化磁盘，可能存在的原因是？
A．该分区格式为EXT4，Windows系统无法识别
B．该分区已损坏，Windows无法识别
C．该硬盘是一块从未使用过的全新的硬盘
D．该分区被病毒感染，导致分区表丢失
7.下面关于文件头的说法中，不正确的是？
A．各种类型文件的文件头长度不一定相同
B．JPG格式文件的文件头存在细小差异
C．相比文件头，文件扩展名更可信，因此文件扩展名常用于判断文件类型
D．在Windows系统中，修改文件扩展名的同时，该文件的文件头也随之变化
8.下列哪些类型是Windows7系统中常见的日志类型？
A.Application
B.Security
C.System
D.Local
9.手机中常用的简体中文编码格式不包括？
A.Big5
B.UTF-16
C.Unicode BE
D.UTF-7
10.下面哪些密码破解方法可以用于RAR文件？
A.彩虹表破解
B.暴力破解
C.掩码破解
D.字典破解
三、不定项选择题（共10题，每题3分，共计30分）
1.下列不是NTFS分区下的元文件的是？
A.$MFT
B.$Boot
C.$FAT
D.$Secure
2.下列属于Windows 7系统中虚拟内存对应的文件是？
A.hiberfil.sys
B.pagefile.sys
C.virtualmem.sys
D.config.sys
3.下列关于文件大小和文件占用空间大小的说法中，不正确的是？
A．文件大小和文件占用空间大小总是不一致的
B．文件占用空间大小总是大于文件的实际大小
C．文件大小总是文件占用扇区大小的整数倍
D．文件占用空间大小与文件实际大小之间的差额通常被称为文件松弛区（Slack）
4.下面哪些操作系统不属于智能手机操作系统？
A.Linux
B.Windows 8
C.Mac OS
D.MTK
5.下面哪些文件不是Windows的注册表文件？
A.Regedit
B.Sam
C.System
D.Security
6.下面哪种类型的数据不属于易失性数据？
A.内存
B.未分配簇
C.运行的服务
D.未打开的图片
7.下列关于安卓手机取证说法错误的是？
A.安卓手机大部分的关键数据都记录在data区内
B.Data区无法随意访问，需要最高用户权限的授权（root权限）
C.通过解析备份文件也可以完成对data区的取证
D.通过一些第三方软件，可以将QQ、微信等主流社交软件的聊天记录储存位置指定在
SD卡
8.下列关于制作硬盘复制件的说法中，不正确的是？
A．降低直接在源盘检验带来的源盘损坏的风险。
B．防止误操作等原因造成的硬盘数据篡改。
C．对于某些传输速率低的硬盘，复制件采用高速率硬盘能有效提高后续取证效率。
D．制作复制件的同时，能够修复部分物理损坏的源盘。
9.下列文件后缀名的说法中，不正确的是？
A．文件的后缀名显示与否是Windows系统中可以设置的。
B．文件的后缀名一般来说为3-4个位长度。
C．可以通过改变文件的后缀名修改文件的类型。
D．所有文件都有文件后缀名。
10.下列关于iPhone取证说法错误的是？
A．iPhone数据恢复一定要越狱
B．iPhone的DFU模式通常用于刷机和越狱
C．iPhone4的4位屏幕密码可以破解
D．iPhone只有越狱了才能进行密码破解
四、判断题（共10题，每题1分，共计10分）
1.手机取证时一般将手机调成飞信模式再进行取证。
2.计算机仿真取证技术可以很大程度上弥补传统静态取证证据获取能力的不足。
3.手机的备份文件中不会记录IMEI号。
4.开机状态下Windows的用户密码信息是以明文形式保存在注册表中的。
5.安卓手机都可以通过备份进行获取。
6.现场勘验时可以通过PE工具直接清除windows密码后进行开机取证。
7.对手机取证时应保证待检测手机的数据、信号畅通，以便及时接受到最新的证据。
8.iPhone手机微信中获取的语音文件属于证据形式中的声像资料，而不是电子数据。
9.在进行硬盘克隆（对位复制）前必须对目标盘进行擦除。
10.Aff与E01格式支持镜像压缩，可根据实际需求选择压缩比，减少文件占用的空间与镜
像制作的时间。
五、简答题（共2题，每题5分，共计10分）
1.简述硬盘克隆（对位复制）与镜像的异同。
2.简述有屏幕密码的安卓手机应该如何取证。